本期是工作流自动化方向的第三轮评测。CI/CD 自愈、交付管线、临时环境、监控验证、常驻引擎等"运行时自动化"已被前几轮密集覆盖，但交付管线最左侧的那道闸——合并前的安全门禁——仍是空白。这道闸不负责把代码推上线，它负责拦住不该上线的代码：威胁建模先于实现、安全编码约束写入、依赖与规则扫描、安全审查兜底、人员风险量化。我们把这套"提交即设防"的能力称为安全门禁引擎（Security Gate Engine）。
本轮从本地已装的内置 Skill 与 skills.sh 市场双线取材，结合装机量、官方背书与社区评测，挑出 7 个最具代表性的安全门禁引擎逐个拆解。结论先行：官方/厂商级 Skill（security-review、firebase-security-rules-auditor）以零成本与装机量碾压，是流水线首选；独立作者的深度威胁建模 Skill（Kraxi 八阶段）是天花板；security-ownership-map 独占"人员风险量化"赛道，是最具差异化变现潜力的一个。
| Skill | 来源 | 装机量 | 核心定位 | 门禁阶段 | 综合分 |
|---|---|---|---|---|---|
| security-review | 内置 /security-review + getsentry(9.9K) + Anthropic GitHub Action | 高 | 全量安全审查旗舰 | 审查兜底 | ★★★★★ |
| firebase-security-rules-auditor | firebase/agent-skills（官方） | 67.3K | NoSQL 安全规则审计 | 规则门禁 | ★★★★☆ |
| better-auth-security-best-practices | better-auth/skills（官方） | 19.3K | 认证库安全编码实践 | 编码门禁 | ★★★★☆ |
| security-threat-model | 内置 + openai/skills(3.2K) | 中 | 仓库驱动威胁建模 | 设计前置 | ★★★★☆ |
| claude-skill-threat-modeling | Kraxi（独立作者） | 中 | 八阶段代码优先深度风险 | 设计前置 | ★★★★☆ |
| security-ownership-map | 内置 + mcpmarket 多版本 | 中低 | 人-代码所有权 + bus factor | 人员风险 | ★★★½☆ |
| Claude-Code-CyberSecurity-Skill | Masriyan（独立作者） | 中 | 19 技能攻防全家桶 | 综合栈 | ★★★★☆ |
评分维度权重：功能完整度 25% / 上手难度 20% / 变现潜力 25% / 训练营适用性 15% / 社区活跃度 15%。
来源：Claude Code 内置 /security-review 命令；市场等价物 getsentry/skills@security-review（9.9K 装机，Sentry 官方出品）；另有 Anthropic 官方 GitHub Action anthropics/claude-code-security-review，可在 PR 上自动跑安全审查。2026 年 2 月 20 日 Anthropic 进一步放出"Claude Code Security"研究预览，把这套能力产品化。
核心功能：对当前 diff 或整个 PR 做安全审查，按漏洞类别（注入、鉴权、密钥泄露、反序列化等）输出发现项与修复建议，并支持把结论写成 inline PR 评论。GitHub Action 版本让"每次提交自动审查"成为默认行为，实现真正的门禁闭环。
评分：功能 ★★★★★｜上手 ★★★★★｜变现 ★★★★☆｜训练营 ★★★★☆｜社区 ★★★★★
变现与训练营：内置能力本身免费，但围绕它的"AI 安全门禁托管服务"有清晰定价空间——为中小团队配置 GitHub Action、定制规则、出具合规报告，按仓库/月订阅。训练营上它是教学锚点：一节课就能让学员体验"提交→自动安全审查→修复→合并"全闭环，可压缩到 2 课时。对比竞品：obra/superpowers 的 requesting/receiving-code-review（162K/134K 装机）偏向"流程协作"，安全深度远不及 security-review；它是安全垂类的唯一官方正解。
来源：firebase/agent-skills@firebase-security-rules-auditor，67.3K 装机，是整个安全品类装机量第一；同族还有 firestore-security-rules-auditor（20.3K）。均为 Firebase 官方发布。
核心功能：审计 Firestore / Realtime Database / Storage 的安全规则，发现越权读写、通配符过宽、缺失鉴权等高危配置——这是 NoSQL 后端最常见的"数据库裸奔"事故根源。
评分：功能 ★★★★☆｜上手 ★★★★★｜变现 ★★★☆☆｜训练营 ★★★★☆｜社区 ★★★★★
变现与训练营：官方免费品，直接转售空间小，但其"配置即漏洞"的范式极适合做移动端安全训练营：Firebase/Supabase 项目几乎是独立开发者的标配，一节课审完规则就能避免线上事故，教学价值极高。对比竞品：github/awesome-copilot 的 sql-code-review（11.8K）、postgresql-code-review（11.1K）走 SQL 垂类，逻辑同构但场景更窄；Firebase 版胜在装机量与官方背书带来的信任溢价。
来源：better-auth/skills@better-auth-security-best-practices，19.3K 装机，better-auth 官方出品。本地内置的 security-best-practices 是其泛化版本，仅支持 python / javascript / typescript / go 四语言，主打"secure-by-default 编码指导"。
核心功能：在写认证、会话、令牌、密码处理代码时，按库的最佳实践审查——会话过期、令牌存储位置、密码哈希强度、CSRF 防护等。better-auth 版专攻其自家认证库，规则更精准、误报更低。
评分：功能 ★★★★☆｜上手 ★★★★☆｜变现 ★★★☆☆｜训练营 ★★★★☆｜社区 ★★★★☆
变现与训练营：定位是"编码期门禁"，把漏洞挡在写代码阶段而非审查阶段。变现适合走"安全编码规范即服务"：把某框架的最佳实践打包成 Skill 卖给企业安全团队。训练营上它是"纵深防御"教学的最佳切入点——从哈希到会话一条龙讲透。对比竞品：本地 security-best-practices 覆盖更广但更浅；better-auth 版窄而深，两者互补。
来源：本地内置 Skill；市场等价 openai/skills@security-threat-model（3.2K），以及 github/awesome-copilot@threat-model-analyst（1.2K）、anthropics/defending-code-reference-harness@threat-model（320）。
核心功能：仓库驱动（repository-grounded）的威胁建模——枚举信任边界、资产、攻击者能力、滥用路径与缓解措施，输出一份简洁的 Markdown 威胁模型。关键在"以代码为 ground truth"，不空谈 STRIDE 理论，而是落到当前代码库的真实数据流上。
评分：功能 ★★★★☆｜上手 ★★★★☆｜变现 ★★★★☆｜训练营 ★★★★☆｜社区 ★★★☆☆
变现与训练营：这是把"威胁建模"这种高门槛咨询服务AI 化、批量化的钥匙，可对标 IriusRisk、ThreatModeler 等传统工具，定价空间在每仓库几百到上千美元。训练营价值极高：威胁建模是 AppSec 最难教的环节，本地 Skill 让学员能在自己的代码上实时演练。对比竞品：多版本同质化严重，本地版 + openai 版规则相近，选其一即可；深度需求看下一条 Kraxi。
来源：Kraxi/claude-skill-threat-modeling，独立作者，社区评测口碑最佳。安装：npx skills add Kraxi/claude-skill-threat-modeling。
核心功能：八阶段代码优先（Code-First）深度风险分析，含安全设计评审、数据流拆解、信任边界标注、威胁枚举与风险打分、缓解建议与优先级排序。相比本地版的"简洁 Markdown"，它是重型工作流，单次产出更像一份正式的安全评估报告。社区博客 timonweb 实测后评价："五个安全 Skill 里只有这一个值得装，甚至自带威胁建模与密钥扫描的 Python 脚本。"
评分：功能 ★★★★★｜上手 ★★★☆☆｜变现 ★★★★☆｜训练营 ★★★★☆｜社区 ★★★☆☆
变现与训练营：流程重、学习曲线陡，但产出深度直接对齐专业渗透测试报告，变现天花板最高——可作为安全咨询公司的交付引擎，单份报告售价可观。训练营需 4–6 课时拆解八阶段，适合进阶班。对比竞品：本地 security-threat-model 轻量适合快速过一遍，Kraxi 适合正式交付；两者是"草稿"与"定稿"的关系。
来源：本地内置 Skill；市场 mcpmarket、mdskills.ai 有多个移植版本。
核心功能：分析 git 历史，构建人-文件的安全所有权拓扑（bipartite graph），计算 bus factor（巴士因子），定位孤儿代码、敏感代码的实际维护者，并校验 CODEOWNERS 文件与现实的偏差，最终导出 CSV/JSON 供图数据库与可视化使用。
评分：功能 ★★★★☆｜上手 ★★★½☆｜变现 ★★★½☆｜训练营 ★★★½☆｜社区 ★★★☆☆
变现与训练营：这是本轮最具差异化的变现标的——它不查代码漏洞，而查"人"的风险：谁掌握着全部密钥处理逻辑、谁离职会让某模块无人能维护、CODEOWNERS 是否形同虚设。这套能力可包装为"代码库安全治理审计报告"卖给 CTO/CSO，是企业级付费场景。训练营上它是"DevSecOps 治理"章节的独家教具。对比竞品：无直接同类，security-best-practices / security-review 都不碰人员维度，它填补了"技术风险之外的社会会风险"空白。
来源：github.com/Masriyan/Claude-Code-CyberSecurity-Skill，独立作者，19 个生产级安全 Skill，覆盖进攻安全（offensive）与防御安全（defensive）双线。
核心功能：一站式安全栈，含漏洞扫描、密钥扫描、依赖扫描（SCA）、威胁建模、日志分析、事件响应、取证等，相当于把前面 6 个的单点能力打包成一个仓库。进攻侧可用于授权渗透测试，防御侧用于日常门禁与应急。
评分：功能 ★★★★☆｜上手 ★★★☆☆｜变现 ★★★★☆｜训练营 ★★★★☆｜社区 ★★★½☆
变现与训练营：全家桶定位适合做"AI 安全工程师训练营"的配套工具箱——一个仓库覆盖一整门课的实验，教学连贯性强。变现上可拆卖单技能或整包订阅。对比竞品：mukul975/anthropic-cybersecurity-skills、secondsky/claude-skills@vulnerability-scanning（358）、jwynia/agent-skills@dependency-scan（254）都是单点工具，Masriyan 胜在广度与"开箱即栈"的完整性。
mindmap
root((安全门禁引擎))
设计前置
威胁建模
security-threat-model 本地
Kraxi 八阶段深度
openai/skills 等价版
安全设计评审
编码门禁
语言最佳实践 security-best-practices
认证库实践 better-auth 19.3K
扫描门禁
漏洞扫描 vulnerability-scanning
依赖扫描 dependency-scan/Snyk/Trivy
规则审计 firebase-rules 67.3K
审查兜底
全量安全审查 security-review 旗舰
GitHub Action anthropics 官方
人员风险
所有权拓扑 security-ownership-map
bus factor / 孤儿代码
综合栈
Masriyan 19技能全家桶
🥇 综合战力榜（流水线首选） 1. security-review — 官方旗舰，零成本接入 CI，装机与信任双高 2. firebase-security-rules-auditor — 67.3K 装机量王，NoSQL 必装 3. security-threat-model — 威胁建模前置，本地即用
🥈 变现潜力榜（最适合改付费产品） 1. security-ownership-map — 人员风险量化，独占赛道，对标企业治理 2. claude-skill-threat-modeling（Kraxi） — 八阶段深度报告，对标渗透测试交付 3. security-review 托管服务 — GitHub Action 配置 + 合规报告订阅
🥉 上手零门槛榜（小白首选）
1. firebase-security-rules-auditor — 官方品，装上即审
2. better-auth-security-best-practices — 写代码时自动约束
3. security-review — 一条 /security-review 命令搞定
🏆 训练营适用榜（教学连贯性） 1. Masriyan 全家桶 — 一个仓库覆盖整门课 2. security-review + security-threat-model — 闭环教学黄金组合 3. security-ownership-map — DevSecOps 治理独家教具
把七引擎串成一条"提交即设防"的流水线，而非各自为战：
flowchart LR
A[需求评审] --> B[security-threat-model<br/>设计前置建模]
B --> C[编码<br/>better-auth/best-practices 约束]
C --> D[提交 PR]
D --> E[firebase-rules-auditor<br/>+ dependency-scan 扫描]
E --> F[security-review GitHub Action<br/>全量审查兜底]
F --> G[security-ownership-map<br/>季度人员风险报告]
F -->|发现高危| H[Kraxi 深度威胁建模<br/>正式评估]
G --> I[合并 / 上线]
H --> I
这条链路把门禁从"事后审查"升级为"全流程设防"：设计期建模、编码期约束、提交期扫描、审查期兜底、治理期量化人员风险。其中 security-review 与 firebase-rules-auditor 是必装基座，Kraxi 与 ownership-map 是差异化加分项，Masriyan 全家桶适合想一步到位的团队。一句话结论：流水线的左移不靠更多 CI，而靠把安全门禁嵌进 Claude Code 本身——提交的那一刻，防线就已经立起来了。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。